Container Compute Service:ACK クラスターでのエージェントサンドボックスの作成

ステップ 1：ウォームプールの作成

ウォームプールは、SandboxSet カスタムリソースによって管理される、事前に作成されたサンドボックスレプリカのセットです。アプリケーションは、ウォームプールからすぐに使用できるサンドボックスを直接取得できるため、配信効率が大幅に向上します。

1. 左側のナビゲーションウィンドウで、Custom Resources を選択します。CRDs タブで、Create from YAML をクリックします。

2. 次の YAML を使用して SandboxSet リソースを作成します。ack-sandbox-manager はこのリソースを自動的に検出し、code-interpreter という名前のサンドボックステンプレート設定を初期化します。

   動的ストレージマウントを有効にするには、特権コンテナと hostPath (/var/run/csi) へのアクセスを許可する必要があります。チケットを送信することで、セキュリティ制限の解除を申請できます。ただし、関連するセキュリティリスクについてはお客様の責任となります。このメカニズムの詳細については、「責任共有モデル」をご参照ください。

   apiVersion: agents.kruise.io/v1alpha1
   kind: SandboxSet
   metadata:
     name: code-interpreter
     namespace: default
   spec:
     runtimes:
     - name: csi           # CSI マウントをサポートします。対応するサイドカーが新しいサンドボックスに挿入されます。
     - name: agent-runtime # envd などの環境管理ツールを挿入します。
     replicas: 4
     template:
       metadata:
         labels:
           alibabacloud.com/acs: "true"
           alibabacloud.com/compute-class: agent-sandbox # エージェントサンドボックスのインスタンスタイプ。 
           alibabacloud.com/compute-qos: default # コンピュート QoS：default または best-effort。
       spec:
         automountServiceAccountToken: false
         containers:
         - image: registry-cn-zhangjiakou-vpc.ack.aliyuncs.com/acs/code-interpreter:v1.6 # リージョンをクラスターがデプロイされているリージョンに置き換えてください。
           imagePullPolicy: IfNotPresent
           name: sandbox
           resources:
             limits:
               cpu: "1"
               memory: 1Gi
             requests:
               cpu: "1"
               memory: 1Gi
               ephemeral-storage: 30Gi
         terminationGracePeriodSeconds: 30

   code-interpreter イメージの使用

   • イメージのプル：registry-cn-zhangjiakou-vpc.ack.aliyuncs.com/acs/code-interpreter イメージは、ACK が e2b-code-interpreter プロジェクトに基づいて作成したサンプルイメージです。E2B クライアントの run_code インターフェイスと互換性があります。イメージのプル速度を向上させるには、イメージアドレスのリージョンを実際のリージョンに変更するか、-vpc を削除してパブリックネットワーク経由でイメージをプルします。

     重要

     このイメージはデモンストレーションおよびテスト目的のみであり、本番環境での使用は推奨されません。本番環境にデプロイする必要がある場合は、セキュリティと安定性の要件を満たすために、必要なセキュリティ強化、パフォーマンス最適化、および機能強化を実行してください。

   • カスタムイメージの使用：E2B code-interpreter イメージを直接、またはベースイメージとして使用する場合は、ACK が提供するバージョン管理されたイメージを使用してください。ACK は、E2B の公式のlatest イメージとのランタイム互換性を保証しません。カスタムイメージを使用する必要がある場合は、次の条件を満たしていることを確認してください：

     1. cp、mv、mkdir などの基本的なコマンドが含まれていること。

     2. bash が含まれており、実行可能ファイルが /bin/bash にあること。

     カスタムイメージを使用する場合、E2B の run_code メソッドは一時的に利用できなくなります。

3. 左側のナビゲーションバーで Pods をクリックし、対応する名前空間を選択して、作成された code-interpreter サンドボックスを表示します。

   kubectl get sbs コマンドを実行して SandboxSet リソースを表示できます。ここで、AVAILABLE は準備完了のサンドボックスの数を示します。

サンドボックスが割り当てられると、SandboxSet は自動的に補充プロセスをトリガーして、ウォームプール内のインスタンス数を維持します。

ステップ 2：エージェントサンドボックスの取得

Kubernetes SDK を使用してサンドボックスリソースを管理することもできます。

ステップ 1：インプレーススケーリングの有効化

SandboxSet の spec.template.metadata.annotations に scaling.alibabacloud.com/enable-inplace-resource-resize: "true" を追加して、ウォームプール内のサンドボックスが割り当てられるときにインプレース VPA を実行できるようにします。

次の例では、より小さいリソース仕様でウォームプールを作成します。割り当て中にリソースを目的の仕様に動的にスケールアップできます。

apiVersion: agents.kruise.io/v1alpha1
kind: SandboxSet
metadata:
  name: code-interpreter
spec:
  template:
    metadata:
      annotations:
        # ウォームプールからサンドボックスが割り当てられるときにインプレース VPA を許可します。
        scaling.alibabacloud.com/enable-inplace-resource-resize: "true"
    spec:
      containers:
        - name: interpreter
          image: xxx
          resources:
            requests:
              cpu: 500m     
              memory: 1Gi 
            limits:
              cpu: 500m 
              memory: 1Gi
  replicas: 5  # ウォームインスタンスの数。

ステップ 2：ターゲットリソース仕様の宣言

ウォームプールからエージェントサンドボックスを割り当てる際に、次のいずれかの方法を使用して、CPU を指定されたサイズに動的にスケールアップできます：

from e2b_code_interpreter import Sandbox
sbx = Sandbox.create(template="code-interpreter", metadata={
    "e2b.agents.kruise.io/cpu-request": "1000m",
    "e2b.agents.kruise.io/cpu-limit": "1000m"
})

apiVersion: agents.kruise.io/v1alpha1
kind: SandboxClaim
metadata:
  name: code-interpreter-vpa-claim
  namespace: default
spec:
  templateName: code-interpreter
  replicas: 1
  claimTimeout: 5m
  ttlAfterCompleted: 15m
  inplaceUpdate:  # ターゲットリソース仕様を宣言します。
    resources:
      requests:
        cpu: 1000m
      limits:
        cpu: 1000m

ドメイン名の準備

内部権威ドメイン (ゾーン) の追加または削除を参照して、ドメイン名 your.domain.com および *.your.domain.com を設定し、それらを Ingress アドレスに解決できます。アクセスが完全に ACS クラスター内にある場合は、クラスター内のヘッドレスサービスアドレスである sandbox-manager.sandbox-system.svc.cluster.local を直接使用することもできます。

証明書の取得

E2B クライアントは HTTPS を介してバックエンドにリクエストを送信できます。本番環境では、次のいずれかの方法で証明書を取得します。

kubectl create secret tls sandbox-manager-tls \
        --cert=fullchain.pem \
        --key=privkey.pem -n sandbox-system

export SSL_CERT_FILE=/path/to/ca-fullchain.pem
python main.py # Python を使用して E2B SDK を呼び出します。

sudo certbot certonly \
  --manual \
  --preferred-challenges=dns \
  --email your-email@example.com \
  --server https://acme-v02.api.letsencrypt.org/directory \
  --agree-tos \
  -d "your.domain.com" \
  -d "*.your.domain.com"

sudo cp /etc/letsencrypt/live/your.domain.com/fullchain.pem ./fullchain.pem
sudo cp /etc/letsencrypt/live/your.domain.com/privkey.pem ./privkey.pem

kubectl create secret tls sandbox-manager-tls \
  --cert=fullchain.pem \
  --key=privkey.pem \
  --namespace=sandbox-system

DNS 名前解決

次のコマンドを実行して、エンドポイント情報を表示します：

kubectl get ingress sandbox-manager -o jsonpath='{range .status.loadBalancer.ingress[*]}{.hostname}{.ip}{"\n"}{end}' -n sandbox-system

提供されたエンドポイント情報に基づいて、ドメイン your.domain.com または *.your.domain.com の DNS 名前解決を設定します。DNS 名前解決の詳細については、「クイックリンク」をご参照ください。

• 出力が IP アドレス (47.114.***.*** など) の場合、ホストレコード *.your.domain.com を A レコードとしてその IP アドレスにマッピングします。

• 出力が alb-*****62roo70i*****.cn-hangzhou.alb.aliyuncsslb.com のようなドメイン名である場合、ホストレコード *.your.domain.com を CNAME レコードとしてそのドメイン名に解決してください。

• 複数のエンドポイントが返された場合は、レコードをいずれか 1 つに解決するか、すべてのエンドポイントに対してラウンドロビン DNS を設定できます。

ack-agent-sandbox-controller のインストールエラー：「[RAM Role AliyunCSManagedAgentSandboxRole is not granted]」

1. Resource Access Management (RAM) コンソールに移動し、[ID] > [ロール] を選択します。AliyunCSManagedAgentSandboxRole を検索し、ロール名をクリックして詳細ページを開きます。

2. [権限] タブで、AliyunCSManagedAgentSandboxRolePolicy ポリシーを選択し、[権限の削除] をクリックします。

3. 権限付与リンクをクリックして、再度権限を付与します。